Þessi stefna lýsir því hvernig Repeat ehf., kt. 440521-2660 (hér eftir „Skildingur"), vinnur persónuupplýsingar í tengslum við reiknings- og bókhaldskerfið á skildingur.is. Hún er hluti af skilmálum þjónustunnar.

Fyrir aðgangsupplýsingar notenda (nafn, netfang, símanúmer, innskráningar) er Skildingur ábyrgðaraðili vinnslu. Fyrir bókhaldsgögnin sem fyrirtækið þitt skráir í kerfið, þar á meðal upplýsingar um viðskiptavini þess og starfsfólk (kennitölur, laun, lífeyrissjóðir, stéttarfélög), er fyrirtækið þitt ábyrgðaraðili og Skildingur vinnsluaðili sem vinnur gögnin aðeins til að veita þjónustuna.

Kerfið og gagnagrunnur þess eru hýst hjá DigitalOcean í Amsterdam, innan EES. Tölvupóstur (þar á meðal móttaka kvittana á kvittun.skildingur.is) fer um Postmark. Villuskráning kerfisins er hýst á eigin vefþjónum. Vinnsla með gervigreind er lýst í 4. kafla. Við seljum aldrei gögn og afhendum þau ekki þriðja aðila nema á grundvelli lagaskyldu eða dómsúrskurðar, eða með samþykki þínu eins og lýst er í 5. kafla.

Þegar kennitala einstaklings er slegin inn, til dæmis þegar viðskiptavinur er skráður, fyllir Skildingur út nafn og lögheimili úr þjóðskrá gegnum Gagnatorg Já hf. á Íslandi. Aðeins kennitalan er send. Svarið er geymt hjá okkur svo sama kennitala sé ekki sótt aftur og er endurnýjað daglega.

Á sama hátt eru kennitölur fyrirtækja flettar upp í fyrirtækjaskrá Skattsins: þegar fyrirtæki er skráð sem viðskiptavinur, til að finna nafn seljanda á kvittun sem berst og nafn mótaðila á bankafærslum. Aðeins kennitalan er send, fyrirtækjaskrá er opinber skrá og svarið er geymt og endurnýjað á sama hátt.

Gervigreind er valkvæð. Hvert fyrirtæki velur við nýskráningu og í stillingum hvort hún er notuð og hvaða veitendur fá gögn. Þegar slökkt er á henni eru engin gögn send til gervigreindarþjónustu. Kvittanir og reikningar sem berast eru þá lesnir á vefþjónum Skildings í Amsterdam, án gervigreindar.

Þegar kveikt er á gervigreind fara gögn aðeins til þeirra veitenda sem fyrirtækið hefur kveikt á:

• Anthropic, sem vinnur gögnin í Bandaríkjunum, aðeins ef kveikt er á Anthropic í stillingum fyrirtækisins.
• OpenAI, sem vinnur gögnin í Bandaríkjunum, aðeins ef kveikt er á OpenAI í stillingum fyrirtækisins.
• xAI, sem vinnur gögnin í Bandaríkjunum, aðeins ef kveikt er á xAI í stillingum fyrirtækisins.

Veitandinn fær aðeins það sem verkið krefst:

• Við lestur fylgiskjala: mynd eða PDF-skjal kvittunar eða reiknings. Niðurstaðan verður drög að útgjaldafærslu sem notandi staðfestir.
• Þegar aðstoðin (spjallglugginn) er notuð: spurningin, samtalið á undan, skjöl sem notandi hengir við og þau gögn úr bókhaldinu sem þarf til að svara, til dæmis listi reikninga eða viðskiptavina. Samtölin eru geymd hjá okkur og notandi getur eytt þeim.

Veitendurnir nota gögnin ekki til að þjálfa gervigreindarlíkön og geyma þau aðeins í takmarkaðan tíma samkvæmt samningum við okkur. Flutningur gagna til Bandaríkjanna byggir á stöðluðum samningsákvæðum framkvæmdastjórnar ESB eða gagnaverndarramma ESB og Bandaríkjanna. Til að reikna notkun skráum við hve mikla vinnslu hvert verk tók, en ekki innihald þess.

Ef fyrirtækið tengir eigið gervigreindarforrit við Skilding (MCP-tenging í stillingum) sækir það forrit gögnin sjálft með lykli fyrirtækisins. Sú vinnsla fer fram hjá veitanda forritsins og á ábyrgð fyrirtækisins, ekki Skildings.

Inni í kerfinu eru hvorki auglýsinga- né greiningarvafrakökur. Innskráning er geymd í staðbundinni geymslu vafrans (localStorage) ásamt útlitsstillingu. Hvort tveggja er nauðsynlegt til að kerfið virki og hverfur þegar þú skráir þig út.

Á opnum síðum skildingur.is (forsíðu, kynningarsíðum, nýskráningu og þessum lagasíðum) notum við Google Analytics, Google Ads og Meta Pixel, en aðeins ef þú samþykkir það. Þau setja vafrakökur (til dæmis _ga, _gcl_au og _fbp) til að telja heimsóknir og mæla hvort auglýsingar leiða til nýskráningar. Þegar þú stofnar aðgang fá Google og Meta að vita að nýskráning hafi átt sér stað, hvaða áskrift var valin og af hvaða kynningarsíðu þú komst, en hvorki nafn, netfang né kennitölu. Google og Meta geta unnið gögnin í Bandaríkjunum á grundvelli gagnaverndarramma ESB og Bandaríkjanna. Val þitt er geymt í vafranum og þú getur breytt því hvenær sem er undir Vafrakökur.

Öll samskipti eru dulkóðuð með TLS. Aðgangur að gögnum fylgir hlutverkum notenda og fylgiskjöl eru aðeins aðgengileg gegnum auðkenndan aðgang. Afrit eru tekin daglega. Gögn eru varðveitt á meðan aðgangur er virkur og í 90 daga eftir lokun, sjá nánar í skilmálum.

Þú átt rétt á aðgangi að eigin persónuupplýsingum, leiðréttingu, eyðingu, takmörkun vinnslu og flutningi gagna. Fyrirspurnum er svarað á skildingur@skildingur.is. Þú getur einnig beint kvörtun til Persónuverndar (personuvernd.is).

Breytingar á stefnunni eru kynntar á sama hátt og breytingar á skilmálum, með tilkynningu og nýju útgáfunúmeri efst á síðunni.